Blog
Breach-and-Attack-Simulation vs. CTEM: Wo sie sich überschneiden
Breach-and-Attack-Simulation-Werkzeuge (BAS) führen Angreifertechniken nach Zeitplan gegen Ihre Umgebung aus und sagen Ihnen, ob Ihre Sicherheitsmaßnahmen sie erkannt haben. Die Validierungsphase von CTEM (kontinuierliches Threat-Exposure-Management) führt Ausnutzungsversuche gegen Ihre Umgebung aus und sagt Ihnen, ob eine konkrete Exposure ausnutzbar ist. So schnell gesagt, klingt das nach demselben Produkt mit anderem Etikett. Das ist es nicht, und genau in der Lücke dazwischen lebt ein großer Teil des „CTEM-Plattform“-Marketings.
Was BAS tatsächlich testet
Ein BAS-Werkzeug bringt eine Bibliothek von Angreifertechniken mit, meist auf MITRE ATT&CK abgebildet, und führt sie nach Zeitplan gegen Ihre Umgebung aus: eine Technik zum Auslesen von Zugangsdaten, eine Technik zur lateralen Bewegung, ein bekanntes Ransomware-Verhalten, ein bestimmtes C2-Kommunikationsmuster. Dann prüft es, was passiert ist. Hat der EDR-Agent es gemeldet? Hat die SIEM-Regel ausgelöst? Hat das E-Mail-Gateway die Payload blockiert? Hat der Proxy den Callback gestoppt?
Der Prüfling ist die Sicherheitsmaßnahme, nicht das Ziel. BAS interessiert sich nicht dafür, ob der konkrete Host, auf dem die Simulation lief, einen echten, ausnutzbaren Pfad zu etwas Wertvollem hat. Es interessiert sich dafür, ob die Technik, als bekanntes und katalogisiertes Muster, erkannt wird. Führen Sie dieselbe Simulation gegen zwei Hosts mit identischer EDR-Abdeckung aus, erwarten Sie auf beiden dasselbe Ergebnis, weil die Frage lautet „funktioniert diese Klasse von Sicherheitsmaßnahmen“ und nicht „ist dieses Asset exponiert“.
Das macht BAS gut in einer engen und nützlichen Sache: Drift bei den Sicherheitsmaßnahmen aufdecken. Eine Detektionsregel, die im Januar funktionierte, kann nach einem Agenten-Update, einer SIEM-Feinabstimmung oder einer Richtlinienänderung, die niemand mit der Sicherheitsabdeckung in Verbindung gebracht hat, stillschweigend aufhören zu funktionieren. Die auf ATT&CK abgebildete Bibliothek kontinuierlich laufen zu lassen ist der Weg, das herauszufinden, bevor ein Angreifer es tut, statt in der Nachbesprechung eines Vorfalls.
Was die CTEM-Validierung tatsächlich testet
Die Validierungsphase von CTEM beginnt an anderer Stelle: bei einer konkreten Exposure, die Discovery und Priorisierung bereits in Ihrer tatsächlichen Umgebung gefunden haben. Ein überprivilegiertes Servicekonto auf einem bestimmten Host. Ein falsch konfigurierter Storage-Bucket. Eine verwundbare Dienstversion auf einem System, das auf einem Pfad zur Finanzdatenbank liegt. Die Validierung stellt eine Frage zu dieser einen Sache: Kann ein Angreifer sie tatsächlich nutzen, von hier aus, um das zu erreichen, was uns nach eigener Aussage wichtig ist.
Die Methode gleicht eher einem eingegrenzten, sicheren Penetrationstest als einer Technikbibliothek. Sie verkettet die konkrete Exposure mit dem, wohin sie in Ihrer Umgebung tatsächlich führt: dieses Konto plus diese Vertrauensbeziehung plus dieser Netzwerkpfad ergibt eine Route zum Domänencontroller, oder eben nicht. Die Ausgabe ist nicht „Technik T1078 wurde erkannt“, sondern „diese Exposure auf diesem Host ist ausnutzbar, und das ist, was sie erreicht“ oder „diese Exposure sieht auf dem Papier schlimm aus und ist es nicht, weil der Pfad durch eine Sicherheitsmaßnahme blockiert ist, von der wir nicht wussten, dass sie im Weg steht“.
Der Unterschied liegt darin, worauf sich jedes Ergebnis verallgemeinern lässt. Ein BAS-Ergebnis zu einer Technik verallgemeinert sich über Ihre gesamte Umgebung, weil die Sicherheitsmaßnahme diese Technikklasse entweder erkennt oder nicht. Ein Validierungsergebnis zu einer Exposure verallgemeinert sich auf nichts anderes; es ist eine Tatsache über einen einzelnen konkreten Befund.
| Frage | BAS | CTEM-Validierung |
|---|---|---|
| Prüfling | Eine Sicherheitsmaßnahme (EDR, SIEM-Regel, Gateway) | Eine konkrete, in der Discovery erfasste Exposure |
| Quelle des Testfalls | Auf ATT&CK abgebildete Technikbibliothek | Ergebnis von Discovery und Priorisierung |
| Ergebnis | Erkannt / blockiert / nicht erkannt | Ausnutzbar / nicht ausnutzbar, und was sie erreicht |
| Rhythmus | Kontinuierlich, nach Zeitplan | Je Exposure, auf der priorisierten Liste |
| Beantwortet | „Würden unsere Sicherheitsmaßnahmen diese Technikklasse erkennen?“ | „Ist diese Exposure, jetzt gerade, ein echter Pfad zu etwas Wichtigem?“ |
Warum BAS ein guter Input ist, kein Ersatz
Nichts davon macht BAS für ein CTEM-Programm nutzlos – im Gegenteil. Ein Validierungsteam, das bereits weiß, dass eine Maßnahmenlücke existiert, weil BAS sie gemeldet hat, kann Exposures, die durch diese Lücke verlaufen, höher priorisieren als solche, die eine funktionierende Sicherheitsmaßnahme wahrscheinlich stoppen würde. Gartners eigene Einordnung fasst BAS zusammen mit automatisierten Penetrationstests und automatisiertem Red Teaming in einer breiteren Kategorie namens Adversarial Exposure Validation zusammen, gerade weil es sich um komplementäre Wege handelt, Belege für die Durchführbarkeit eines Angriffs zu erzeugen (Gartner, März 2025, Market Guide for Adversarial Exposure Validation). BAS-Ergebnisse gehören zu den besseren Quellen für die Belege der Validierungsphase, besonders für die Hälfte der Frage, die lautet „würde das erkannt, wenn es passierte“.
Was es nicht kann, ist den Zyklus ersetzen. Scoping ist ein Gespräch mit Fachverantwortlichen darüber, welche Prozesse und Assets wichtig sind; eine Technikbibliothek hat dazu keine Meinung. Discovery heißt, die Exposures zu finden, die in Ihrer konkreten Umgebung existieren; BAS zählt weder Ihr Asset-Inventar noch Ihre vergessenen Subdomains noch Ihre überberechtigten Identitäten auf – es führt eine feste Bibliothek gegen das aus, worauf Sie es bereits gerichtet haben. Mobilisierung ist ein benannter Verantwortlicher, ein Ticket und eine verifizierte Behebung; BAS erzeugt einen Bericht über die Abdeckung durch Sicherheitsmaßnahmen, keinen Behebungsworkflow mit zugeordnetem Verantwortlichen. Ein perfekt betriebenes BAS sagt Ihnen sehr viel über Ihre Detektionsfähigkeit und nichts darüber, ob die Exposure-Liste des letzten Monats tatsächlich wichtig war oder behoben wurde.
Wenn ein BAS-Anbieter sich CTEM-Plattform nennt
Einige BAS-Anbieter vermarkten ihr Produkt inzwischen als vollständige CTEM-Plattform, und es lohnt sich, genau zu benennen, was dann üblicherweise fehlt. Scoping ist fast nie vorhanden; das Produkt hat keinen Workflow, um zu vereinbaren, welche Geschäftsprozesse im Spiel sind, weil es nicht dafür gebaut wurde, mit Fachverantwortlichen zu sprechen. Discovery ist dünn bis nicht vorhanden; eine Technikbibliothek ist kein Asset-Inventar, und Simulationen gegen Hosts auszuführen, die Sie bereits kennen, findet nicht die, die Sie nicht kennen. Priorisierung existiert nur im engen Sinn einer Rangfolge, welche Detektionslücken zuerst zu schließen sind, nicht im Sinn einer Rangfolge von Exposures nach geschäftlicher Auswirkung, weil dem Werkzeug Ihre Exposures nie gezeigt wurden. Mobilisierung ist meist ein Bericht oder eine Reihe vorgeschlagener Detektionsregeln, keine nachverfolgte Behebungspipeline mit Verantwortlichkeit und verifiziertem Abschluss.
Was tatsächlich da ist, und tatsächlich wertvoll, ist eine starke, kontinuierliche Antwort auf einen Teil der Validierung: die Wirksamkeit der Sicherheitsmaßnahmen gegen bekannte Techniken. Dafür lohnt sich der Kauf. Er lohnt sich als Input für die Validierung, bepreist und beurteilt als eine Phase eines fünfphasigen Zyklus, nicht als der Zyklus selbst. Das verräterische Zeichen steckt meist in der Vertriebspräsentation: Wenn Scoping und Mobilisierung je eine Folie bekommen und Discovery eine Erwähnung, aber die Validierung per Technik die ganze Demo, dann sehen Sie ein sehr gutes BAS-Werkzeug mit CTEM-Etikett.
Weiter
Lesen Sie CTEM-Tools: Was jede Kategorie tatsächlich leistet für den Vergleich von BAS mit automatisierten Penetrationstests und dem übrigen Validierungswerkzeugkasten, CTEM vs. Schwachstellenmanagement dafür, warum die Validierung überhaupt eine eigene Phase ist, und nutzen Sie das Anbieterverzeichnis, um zu prüfen, was ein konkretes BAS-Produkt tatsächlich abdeckt, bevor Sie es als Plattform kaufen.